Tipos, permisos y entrega de señales externas

Identidad y definición

La identidad de una señal es categoría + clave + tag. El tipo y la unidad forman parte de su definición. Una vez aprobada, solo pueden cambiarse los permisos y la habilitación; la identidad, el tipo y la unidad permanecen estables. Para un recorrido completo, sigue Enviar señales desde una tarea.

Cada identidad nueva necesita una aprobación administrativa propia y un contexto Windows permitido elegido por el administrador. La aprobación no se extiende a otras claves o tags, aunque procedan de la misma cuenta o del mismo programa. La señal de fecha generada automáticamente queda cubierta por la aprobación de su señal original.

La categoría sistema y las claves terminadas en _aceptada_en están reservadas. Se admiten hasta 256 definiciones aprobadas, con un máximo de 32 usuarios o grupos por definición. Habilitar exige al menos una identidad autorizada.

Tipos admitidos y ejemplos

El parámetro -Tipo del script admite estos siete valores:

Los valores datetime requieren Z o un desplazamiento como +01:00. Se normalizan a UTC con precisión de segundos. Una fecha de negocio debe enviarse expresamente; Attacus no la deduce de la ejecución de la tarea.

& 'C:\Program Files\Attacus\Enviar-SenalAttacus.ps1' `
  -Categoria sql -Clave copia_realizada_en -Tag produccion `
  -Tipo datetime -Valor '2026-11-09T19:30:00Z'

& 'C:\Program Files\Attacus\Enviar-SenalAttacus.ps1' `
  -Categoria sql -Clave tamano_copia -Tag produccion `
  -Tipo numero -Unidad MiB -Valor '128.5'

Cada ejemplo propone una identidad diferente. Debes aprobarla y volver a enviar antes de esperar datos en Sentinelia.

Identidad Windows y permisos

Attacus comprueba qué cuenta Windows envía el dato y qué grupos puede utilizar en esa ejecución. Permite el envío si coincide con un usuario o grupo autorizado para la señal. Windows puede limitar el uso del grupo Administradores cuando la aplicación se ejecuta sin permisos de administrador.

Prueba el envío con la cuenta y los permisos reales de la tarea programada. Los nombres que muestra Windows ayudan a reconocer las cuentas; Attacus las identifica mediante su identificador de seguridad, llamado SID. Escribir otro nombre de usuario en los datos enviados no cambia la cuenta que Windows identifica como emisora.

Autorizar un grupo permite enviar a las cuentas que puedan utilizarlo durante su ejecución. Si autorizas varios usuarios o grupos, basta con coincidir con uno de ellos. El permiso corresponde a la cuenta, no a un archivo concreto: otra tarea ejecutada bajo esa misma cuenta también puede enviar la señal. Utiliza cuentas separadas si necesitas distinguir responsabilidades. Attacus identifica quién envía el resultado; la tarea es responsable de que ese resultado describa correctamente su trabajo.

El contexto observado conserva los hechos de las llamadas recibidas. Añadir o quitar entidades en el contexto permitido no altera esos hechos. La confirmación UAC autoriza el cambio de configuración; los permisos de emisión se comprueban de nuevo en cada llamada.

Propuestas e intentos en memoria

Las definiciones aprobadas y sus permisos persisten. Las propuestas pendientes y los intentos rechazados se mantienen solo en memoria:

Cada entrada conserva contador, última fecha, motivo y contexto de grupos habilitados. Al alcanzar el límite se retiran las entradas más antiguas y se cuentan los descartes. El listado muestra ≥ cuando su contador representa un mínimo conservado. Reiniciar el servicio borra esta información temporal, sin revocar las aprobaciones.

El valor rechazado no se conserva para reproducirlo después. La retirada de una propuesta no constituye un bloqueo persistente del emisor.

Un reinicio ordinario conserva las aprobaciones y los resultados guardados para enviarse después. Reconstruir configuración elimina esas aprobaciones, sus permisos y los resultados externos que todavía esperaban ser preparados para el envío. Consulta qué elimina la reconstrucción antes de utilizarla como recuperación.

Dos observaciones por dato aceptado

Por cada dato autorizado, Attacus guarda una pareja: la señal original y una señal datetime con la misma categoría y tag y clave <clave>_aceptada_en.

La original tiene origen Forwarded e incluye el SID autenticado en emisor_sid. La fecha tiene origen Calculated. Ambas comparten el metadato entrega_attacus, que corresponde al entrega_id de la respuesta.

aceptada: true confirma que Attacus ha guardado el dato y su fecha de aceptación. confirmacion_remota: false indica que todavía debes comprobar la recepción en Sentinelia. La fecha aceptada_en corresponde a la aceptación en el equipo donde está instalado Attacus.

Cola y continuidad de la entrega

Attacus puede guardar hasta 5000 parejas de dato y fecha pendientes, 16 MiB de datos acumulados y 32768 bytes por envío. Si no cabe la pareja completa, el envío se rechaza; no se acepta solo una parte.

Attacus prepara por separado el dato y su fecha para enviarlos a Sentinelia y recuerda qué falta por entregar. Los datos pendientes se conservan al reiniciar. Cuando no hay progreso, vuelve a intentarlo cada cinco segundos. Revocar un permiso no elimina los datos ya aceptados. Los envíos pendientes asociados a un destino anterior se descartan cuando ese destino se sustituye.

Después de una interrupción puede repetirse la entrega de un dato, conservando su identificador y su fecha original. El dato y su fecha pueden llegar en momentos distintos. Confirma cada señal en Telemetría de Sentinelia.

Canal local para integraciones

Utiliza el script Enviar-SenalAttacus.ps1 incluido en la instalación para entregar el resultado desde el mismo equipo Windows. La tarea no necesita conocer el secreto de conexión del agente ni comunicarse directamente con Sentinelia: Attacus comprueba sus permisos y gestiona el envío posterior.

Enviar una señal autorizada no solicita permiso de administrador cada vez. Aprobar nuevas señales o cambiar quién puede enviarlas sí requiere revisión y autorización administrativa. Sigue Enviar señales desde una tarea para realizar y comprobar el primer envío.

Para solicitar soporte, copia la identificación de versión completa que aparece en el portal o en la información de Attacus, junto con el mensaje y el momento del problema.